恢复被误删除的文件—Windows数据恢复教程

如果用户误删了操作系统的重要文件，导致操作系统不能正常启动到保护模式，这样自然无法启动回收站管理器，当然也就不可能恢复回收站中保存的删除文件。此时，为了避免重新安装操作系统，可以用手工方式和工具恢复回收站文件夹中的删除文件，但是由于Windows 9x操作系统采用特殊的技术保存删除的文件，因此手工恢复回收站中的删除文件并非是简单的复制文件操作。

1.手工恢复

Windows 9x操作系统的回收站实际上采用的是复制部分FDT表内容和增加说明文件的特殊方法来管理删除文件的，同时将原文件在原文件夹下的FDT表中所有登录项的首字符置为E5h。

回收站文件夹中包括 Desktop.ini 和Info2 这两个控制文件。当操作系统清空回收站后，回收站文件夹中仅包括 Desktop.ini 文件。一旦逻辑磁盘中有删除文件或文件夹的操作发生，回收站文件夹将立即自动生成Info2文件，并随着回收站中保存的删除文件的增加，Info2文件的长度也相应变化。Info2文件是回收站文件夹中最重要的文件之一，Info2文件的文件头由20字节构成，用于描述与Info2控制文件相关的重要信息。在后面是按顺序记录的删除文件信息块，每个被删除的文件用280字节记录其相关信息，其中删除文件原来存储的路径和文件名记录在前260字节中，如果路径和文件名的长度不足260字节，则以“00H”作为结束标志。当Info2文件中记录的数据块所对应的文件已经被真正的删除或还原后，操作系统并不清除整个数据块，而是将数据块的第一个字节置为“00H”。

2.手工恢复Windows下删除的文件

（1）用Windows 9x操作系统的启动软盘或用硬盘直接将电脑启动到DOS命令行实模式。

（2）进入删除文件所在逻辑磁盘的Recycled文件夹（例如，若删除文件原来在C盘，则用CD命令进入C盘的Recycled文件夹，这个文件夹处于隐藏状态，可以用显示隐藏文件的DIR命令开关a进行查看）。

（3）用DEBUG info2命令将记录删除文件数据的info2文件打开。

（4）连续用D命令依次显示内存中info2文件的内容至显示出被删除文件原路径和文件名信息为止（设删除文件原路径和文件名的开始地址为nnnn）。

（5）用D命令显示nnnn+104地址开始的4个内存单元的值，这4个内存单元的值就是删除文件的编号。其中104是十六进制值，表示十进制值260。例如，假设删除文件的路径从内存单元的22C处开始存储，则存储删除文件编号的内存单元为330开始的内存单元。

（6）从上述内存单元按逆向顺序取出值并去掉整数前面的零。例如，若4个内存单元的值依次为“01 02 00 00”，则删除文件对应的编号为201，对应于十进制的编号为513。(www.xing528.com)

（7）通过上述编号可以知道删除文件在Recycled文件夹中对应的文件名是DC513。其中C表示逻辑C 磁盘。删除文件的扩展名与删除前完全相同。

（8）继续操作并记录下其他要恢复的删除文件信息。

（9）退出DEBUG程序。

（10）根据记录的数据，用COPY命令完成删除文件的恢复。

（11）重新启动电脑，手工恢复的文件就可以发挥作用了。

3.手工恢复回收站中被删除的文件夹

由于回收站里保存删除文件夹的技术比较特殊，因此可以用以下两种方式来手工恢复已经被删除的文件夹。

（1）如果已经知道被删除文件夹中某一个或几个文件的文件名，则可以在Recycled文件夹中依次进入以“DXn.原扩展名”方式命名的文件夹并列出文件目录，若找到已知的文件名，则可以使用DOS的XCOPY命令文件夹及下面的文件复制到删除前的位置。

（2）如果对被删除文件夹下面的文件一无所知，则可以采用前面讨论的删除文件恢复技术，通过在Info2文件中找到删除文件夹的信息和对应的文件夹名称编号，再用XCOPY命令进行恢复。